차세대 시스템 구축 시 개발, 설계 단계부터 보안 대책 수립
기존 보안 컨설팅은 시스템을 구축한 후 프로젝트 전에 수립한 아키텍처 설계(마스터플랜)에 맞게 시스템이 개발됐는지 검토하는 '보안성 평가'에 그쳤다. 또 기업들은 시스템 구축 후 방화벽이나 IDS(침입탐지시스템) 등 필요한 보안 시스템을 구축하는 게 전부였다. 그러나 최근들어 기업들은 시스템 개발, 설계 단계부터 전 프로젝트 진행 과정에 있어서의 보안성을 고려한 보안 컨설팅을 선호하고 있는 것이다.
이는 개발 프로세스 내에서 보안 취약점 조치에 대한 필요성이 인식되는 등 시스템 개발, 설계 단계부터 보안에 대한 요구사항이 많아지고 있기 때문. 실제 기업들은 시스템 구축 시 개인정보보호법 등 관련 규제 및 법 제도 변화에 따른 요구사항을 반영하고자 한다는 게 관련 업계 전문가의 설명이다.
보안 컨설팅 업체들은 "2006년 이전까지 기업들은 시스템의 설계 초기 보안요건 정의 및 테스트 시점 모의해킹 점검 등 단편적으로 접근해 온 게 사실"이라며 "최근 기업들은 특히 차세대 시스템을 구축하며 보안성 검증 강화를 위한 개발 소스 검증 툴 등의 자동화 도구를 프로젝트 단계별로 적용하고자 한다"고 말했다.
하나은행, 농협 등 SDLC 보안컨설팅 적용
하나은행, 농협, 국민은행, 미래에셋생명, 신한은행, 대신증권, SK텔레콤 등 다수 기업들은 보안컨설팅을 통해 차세대 시스템을 구축했거나 구축중인 것으로 알려진다. 이 가운데 최근 차세대 프로젝트에 돌입한 하나은행과 농협의 경우 SDLC를 적용한 보안컨설팅을 수행할 계획이다.
SDLC 보안컨설팅은 보안컨설팅 업체에서 타당성검사, 시스템의 분석, 설계, 구축, 운영 등 시스템 개발부터 끝까지의 전 개발 및 구축과정에 걸쳐 발생되는 모든 개발 이슈에 대해 보안 적합성을 판단하고 구축업체에 가이드라인을 제시하는 것이다. 그러나 SDLC 보안컨설팅은 기존 개발보안컨설팅에 비해 세부적인 사항까지 고려한 보안컨설팅인 만큼 보안 및 ROI 효과가 높은 게 사실이지만, 컨설팅 수행 기간이 길고 비용(인건비 포함)이 30~40% 더 높아 기업들의 적용이 쉽지 않은 것으로 알려진다. 때문에 규모가 크고 보안에 대한 인식이 높은 기업들을 중심으로 확대될 것으로 예상된다.
보안 컨설팅의 중요성에 대해 관련 업계는 "빌딩을 세운 후 비상구를 만들려면 초기 만드는 것 보다 몇 배 더 어려운 것처럼, 시스템 개발 시 보안컨설팅을 적용하고 안하고의 차이는 투입되는 비용만 많게는 100배까지 날 수 있다"고 주장한다. 기업 입장에서 원가 절감 및 증가하는 보안 위협에 사전 대비할 수 있다는 점 때문에 보안컨설팅을 받아야 한다는 게 관련 업체들의 설명이다.
한편, 보안컨설팅 업체들은 차세대 프로젝트 대부분이 2년 이상의 장기 프로젝트다 보니 프로젝트 도중 인력 이탈 및 변경 등 컨설팅 인력 관리에 어려움을 겪고 있는 것으로 알려졌다. 이에따라 증가하는 보안컨설팅 수요에 대응하기 위한 해당 업체들의 컨설팅 전문 인력 확보 또한 시급한 것으로 나타났다.
보안컨설팅 시장 규모는 현재 전체 프로젝트의 3~5%정도에 불가한 수준이다. 이는 그동안 개발 보안부문이 SI사업의 통합발주에 묶여서 진행돼 왔기 때문으로 분석된다. 그러나 최근 차세대 프로젝트들은 SI사업과 별도로 보안컨설팅 발주를 내고 있는 추세여서 종전보다는 크게 확대된 시장 규모를 예상케 하고 있다. 또한 보안 위협 및 보안에 대한 인식이 점차 증대됨에 따라, 앞으로 금융 등 크리티컬한 업무처리를 하는 기업 외에 공공기관이나 일반 기업에서도 시스템 개발 시 세부적 사항까지 고려한 보안 컨설팅에 대한 요구가 확대될 것으로 예상된다.
이에 정통부에서 지정한 SK 인포섹, 시큐아이닷컴, 에이쓰리시큐리티컨설팅, 인젠 등 정보보호컨설팅전문업체들의 각축전 역시 갈수록 치열해질 것으로 전망된다.
관련기사
김정은 기자
jekim@itdaily.kr